CVE-2026-9613
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Datalogics Ecommerce Delivery – Datalogics dla WordPressa w wersjach do 2.6.65 włącznie jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje należycie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na tworzenie i anulowanie rzeczywistych zamówień wysyłkowych przez zewnętrzne API logistyczne, modyfikację metadanych zamówień WooCommerce, nadpisanie tokenu API wtyczki i wyzwalanie e-maili z powiadomieniami o wysyłce.
Ocena ryzyka
Uwierzytelniony atakujący z niskimi uprawnieniami może manipulować zamówieniami wysyłkowymi, nadpisać token API i wysyłać fałszywe powiadomienia do klientów. Może to prowadzić do strat finansowych, wycieku danych i zakłóceń w realizacji zamówień.
Rekomendacja
Zaktualizuj wtyczkę Datalogics do wersji nowszej niż 2.6.65, gdy tylko będzie dostępna. Do czasu wydania poprawki rozważ wyłączenie wtyczki lub ograniczenie ról użytkowników oraz monitoruj nietypowe operacje na zamówieniach i tokenach API.
Inne podatności w Datalogics Ecommerce Delivery
Oryginalny opis (angielski, źródło NVD)
The Datalogics Ecommerce Delivery – Datalogics plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.6.65. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to create and cancel real shipping orders through the external logistics API using the store's stored authentication token, modify arbitrary WooCommerce order post meta on any order, overwrite the plugin's stored API token, and trigger shipping notification emails to customers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS